Finder den kompetente myndighed, at en virksomhed ikke lever op til NIS2-loven, kan den reagere på flere måder. Det mildeste middel er en advarsel. Derefter kommer bindende instrukser med frister, påbud om at forhindre eller afhjælpe en hændelse, påbud og forbud, krav om at underrette kunderne og pligt til at offentliggøre afgørelsen. Før myndigheden træffer en afgørelse, skal virksomheden som hovedregel høres. For ledelsen er høringen det vigtigste øjeblik, fordi den giver mulighed for at vise en troværdig plan, før noget bliver besluttet.
Artiklen gennemgår reglerne i lov nr. 434 af 6. maj 2025 og ledelsens opgaver i hvert trin. Den erstatter ikke en juridisk vurdering af en konkret sag.
Midlerne over for væsentlige enheder
§ 22 opregner otte håndhævelsesforanstaltninger, som myndigheden kan bruge over for en væsentlig enhed:
- advarsler om overtrædelse af loven,
- bindende instrukser, også om foranstaltninger mod en hændelse, med frister for gennemførelse og rapportering, eller krav om at afhjælpe konstaterede mangler,
- påbud om at træffe foranstaltninger, der forhindrer eller afhjælper en hændelse,
- påbud og forbud, der sikrer, at lovens krav overholdes,
- påbud om at underrette de kunder og andre, der potentielt kan være berørt af en væsentlig cybertrussel, om truslen og om, hvad de selv kan gøre,
- påbud om at gennemføre anbefalingerne fra en sikkerhedsaudit,
- udpegning af en person, der i en periode fører tilsyn med, at enheden overholder reglerne om foranstaltninger og underretning,
- påbud om at offentliggøre afgørelser og resuméer af domme eller bødevedtagelser, uden anonymisering.
Nr. 7 er værd at bemærke. En udefrakommende person med tilsynsopgave i virksomheden kræver plads, adgang og en kontaktperson hos jer, og ledelsen bør vide, hvem det er.
Midlerne over for vigtige enheder
§ 25 har seks foranstaltninger over for vigtige enheder: advarsler, bindende instrukser, påbud og forbud, påbud om at underrette kunder om en væsentlig cybertrussel, påbud om at følge auditanbefalinger og påbud om offentliggørelse. Den tilsynsførende person og det selvstændige påbud om at afværge eller afhjælpe en hændelse står kun i § 22, selv om en bindende instruks efter § 25 også kan handle om hændelser. Det samme gælder trinnet i § 23.
Fristen og det sidste trin
Har advarsler, instrukser eller påbud efter § 22, nr. 1 til 4, ikke været nok, kan myndigheden efter § 23 sætte en frist for at rette manglerne. Overskrides fristen, kan myndigheden midlertidigt suspendere en certificering eller godkendelse for virksomhedens tjenester eller midlertidigt forbyde en leder på direktørniveau at udøve ledelsesfunktioner. Begge dele gælder kun, til manglerne er rettet, og afgørelsen kan indbringes for domstolene. Reglen gælder ikke offentlige forvaltningsenheder. Hvad den personlige side betyder for direktører og bestyrelse, er gennemgået i personligt ansvar efter NIS2.
Høringen i § 26
Inden myndigheden træffer afgørelse efter §§ 22, 23 eller 25, skal den fortælle virksomheden, hvilke foranstaltninger den overvejer, og hvorfor. Virksomheden får en rimelig frist til at komme med bemærkninger. Undtaget er de tilfælde, hvor formålet med foranstaltningen ellers ville forspildes.
Et godt høringssvar fra ledelsen indeholder typisk:
- en kort bekræftelse af, hvad virksomheden er enig i,
- en saglig forklaring på punkter, hvor myndighedens grundlag er ufuldstændigt,
- en plan for at rette manglerne med ejer, frist og rapportering,
- dokumentation for, at ledelsesorganet har godkendt planen.
Høringssvaret er virksomhedens, og direktionen bør sende det. Inddrag en advokat, når sagen kan ende i en afgørelse, I er uenige i.
Når påbuddet er givet
Et påbud eller en instruks har typisk en frist og ofte et krav om rapportering. Den bedste måde at håndtere det på er at behandle det som et projekt med en ansvarlig, en tidsplan og faste statusmøder i direktionen. Hver rapport til myndigheden bør godkendes af direktionen, og bestyrelsen orienteres løbende. Gem kopi af alt, hvad der sendes.
Et påbud om at underrette kunder kræver en tekst, der er korrekt og forståelig for modtagerne. Hvordan sådan en besked skrives og godkendes, er beskrevet i når kunderne skal have besked.
Overtrædelse af visse påbud og forbud kan straffes med bøde. Hvilke bestemmelser det gælder, står i bøder efter NIS2-loven.
Tænk på en vigtig enhed i fødevareproduktion, der efter en hændelse får en bindende instruks om at indføre multifaktorautentificering på fjernadgang inden for tre måneder og rapportere undervejs. Direktøren udpeger en ansvarlig, bestyrelsen godkender planen på næste møde, og hver månedsrapport til myndigheden underskrives af direktøren.
Offentliggørelse
Påbuddet om at offentliggøre afgørelser efter § 22, nr. 8, og § 25, nr. 6, betyder, at sagen kan blive kendt af kunder, samarbejdspartnere og presse. Ledelsen bør derfor have en kommunikationsplan klar, så budskabet til kunder og medarbejdere er gennemtænkt, når offentliggørelsen sker. Bestyrelsen bør være orienteret i forvejen.
Det skal I lade være med
- At lade høringsfristen løbe ud uden svar · det er den bedste chance for at påvirke afgørelsen.
- At svare med løfter uden plan · myndigheden skal kunne se, hvem der gør hvad og hvornår.
- At overlade rapporteringen til IT-leverandøren · rapporten skal komme fra virksomheden.
- At undervurdere en advarsel · den er første trin, og senere midler bygger på den.
- At holde bestyrelsen udenfor · ledelsesorganet skal godkende planen og følge den.
Det skal I kræve af den eksterne
- ☐ En oversigt over, hvilke af midlerne i § 22 eller § 25 der kan komme på tale for jer.
- ☐ Et udkast til høringssvar med plan, ejer og frister.
- ☐ En tidsplan for gennemførelse og rapportering, som direktionen kan godkende.
- ☐ Klar besked om, hvornår sagen bør have juridisk bistand.
- ☐ Et udkast til kommunikation, hvis afgørelsen skal offentliggøres.
Næste møde i direktionen
Gennemgå jeres status som væsentlig eller vigtig enhed og de midler, der følger af den. Aftal, hvem der svarer på en høring, og hvem der godkender. Hvordan tilsynet går forud for håndhævelsen, står i tilsyn efter NIS2, og ledelsens samlede pligter under NIS2 og ledelsens ansvar.
Kilder
- Lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 22 om håndhævelse over for væsentlige enheder, § 23 om frist, suspension og forbud, § 25 om håndhævelse over for vigtige enheder, § 26 om høring.
- SAMSIK: Vejledning om ledelsens rolle og opgaver, maj 2025: sanktioner over for ledelsen som sidste udvej.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Korrigerende foranstaltninger · Ledelsen skal godkende og føre tilsyn
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
